数字6桁パスワードのハッシュ値の総当たり、PHPなら約0.25秒で終わるよ

JALの6桁数字パスワード問題から派生して、JALのサイトがパスワードリマインダとして「現在のパスワード」を教えてくれることから、JALサイトではパスワードを平文保存しているのではないかという疑惑が持ち上がっています。それに対して、「いやいや、従来の主流と思われるソルト付きMD5ハッシュでの保存しても、実用的な速度でハッシュ値から元パスワードを『解読』できるよ」と、JALを擁護（?）するエントリが現れました。 パスワード問合せシステムを作る (clojureのreducers) この記事では、最初Clojureによる単純な総当たりで36秒、Clojureのreducersによる並列化で11秒でハッシュ値から元パスワードが求められるよ、と説明されています。まことに痛快な記事ですので、未読の方には一読をお勧めします。 とはいうものの、100万件のMD5の総当たりが、逐次実行で36秒、並列化して

[shinagaki]

JAL「PHPというのはすごいじゃないか！システムを全部PHPに入れ替えろ！」

[YaSuYuKi]

JALパスワードクラックが言語間ベンチマークの基準になる未来が見える

[Layzie]

さらに快適なパスワードお問い合わせが可能なのか

[faibou]

徳丸さんはPHPが好きなのか嫌いなのかｗ

[nanoha3]

Prime95やなくてJAL100が新世代のベンチになる日は近い。

[gnety]

3倍くらい遅いマシンでのJavaシングルスレッドでも0.6秒だった

[aliliput]

PHPすごーい、Clojureより、ずっとはやい！！(白目

[t-wada]

「○○(任意の言語の名前)なら約n秒で終わるよ」というエントリが沢山出て来そう。マルチスレッドの代わりに iframe というのが面白い

[c_shiika]

多分これが一番早いと思います案件

[sayazoh]

スペック向上のおかげでご家庭でも復号化がお気軽に

[typista]

数字6桁パスワードのハッシュ値の総当たり、PHPなら約0.25秒で終わるよ

[bleu-bleut]

数字6桁（100万件）のsalt付きmd5ハッシュではパスワードは守れない。

[naga_sawa]

JALベンチマークという競技ができたと/それにしても脆弱にもほどがあるなぁ

[eriotto]

徳丸先生にロックオンされたご様子。

[a_damitu]

徳丸浩の雑記帳: 数字6桁パスワードのハッシュ値の総当たり、PHPなら約0.25秒で終わるよ

[pmakino]

Perl on Core i5 3570Kで約0.3秒。PHPに負けました。ついでにSHA-1で約1.1秒、SHA-256で約1.6秒、SHA-512で約3.5秒。いずれにしてもハッシュが漏れたら終わる。

[kijtra]

なるほどiframeねw 。curl_multiでもいけるのかな。

[nilab]

徳丸浩の雑記帳: 数字6桁パスワードのハッシュ値の総当たり、PHPなら約0.25秒で終わるよ

[itochan]

「ということで、100万件程度では、ソルトつきMD5ハッシュでは守れないと言うことですが、それならSHA-512等ではあれば」　えっ？　何か違うの？

[yoiIT]

iframe版「田代砲」思い出したわｗｗ　＞iframe要素を用いて、スクリプトを複数の窓で開き、同時に動作させることにしました。

[miya2000]

ま、まあ6桁数字限定ならコンフリクトで別のパスワード返すこともないよね。/ルックアップテーブル！それ生パスワ(ry/ハッシュ,ソルト,ハッシュアルゴリズム,ストレッチング回数まで漏洩しないと同じことはできない。

[oscdis765]

Cで書いてみた。シングルスレッドで同じく0.25秒ほど。ただ頑張ってマルチスレッド化したら遅くなった。。 https://gist.github.com/oscdis/8914284

[kazuyadesse]

うひゃ( ´ ▽ ` )ﾉ

[knjname]

元記事はほとんどリフレクションコストとかに食われてると思う 型ヒントつけてやってみたい

[kaz_hiramatsu]

JAL...

[sionsou]

目をつけられてしまったｗｗ　しかし思ってたより早いのね

[excer]

「100万件程度では、ソルトつきMD5ハッシュでは守れない」

[zapperd]

速い（小並感

[kz14]

JALのプログラマはコボラーに違いない、と行ったらヘイトスピーチですか？

[daybeforeyesterday]

うーむ

[vndn]

うへあ

[Muke]

Hasベンチマーク！

[kazukichi_0914]

数字という

[monaken]

数字6文字程度の安易なパスワードなら1秒以内に解読できる。いい加減なネット戦略を考えてる人には良い薬になるかも？

[deep_one]

いや、稿を改めなくても明らかだろ…と思うのは知識があるからなのか。／演算処理の重さの違いというのはあり得るか…いや無いな。それがあったらハッシュとしての欠陥だし。

[shidho]

こうやって実際に見せられると思った以上にやばいことがよくわかるというか。